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@ Verfahren und Vorrichtung zum Steuern einer Brennkraftmaschine 

@ Es werden ein Verfahren und eine Vorrichtung zum 
Steuern einer Brennkraftmaschine beschrieben. Die Vor- 
richtung umfaftt wenigstens einen Mikroprozessor, we- 
nigstens einen programmierbaren Speicher und einen 
wieder beschreibbaren Speicher. In dem wieder be- 
schreibbaren Speicher sind Programme und/oder Daten 
abgelegt, die vom Mikroprozessor verarbeitet werden. 
Die Programme werden erst nach einer Prufung abgear- 
beitet. Nimmt der Inhalt eines programmierbaren Spei- 
chers einen ersten Wert an, wird das Program m ohne wei- 
tere Prufung abgearbeitet, andernfalls erfolgt wenigstens 
eine weitere Prufung. 
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^ t Beschreibung 

Stand der Technik 

Die Erfindung betrifft ein Verfahren und eine Vorrichtung 
zuni Steuern einer Brennkraftmaschine gemaB den Oberbe- 
griffen der unabhangigen AnsprUche. 

Ein Verfahren und eine Vorrichtung zum Steuern einer 
Brennkraftmaschine sind aus der DE 197 23 332 bekannt. 
Dort werden ein Verfahren und eine Vorrichtung beschrie- 
ben, bei dein eine Sleuereinrichtung fur eine Brennkraftma- 
schine wenigstens einen Mikroprozessor, wenigstens einen 
programmierbaren Speichcr und wenigstens einen wieder- 
beschreibbaren Speicher aufweist. 

In dem wiederbeschreibbaren Speicher sind Programme 
und/oder Daten abgelegt, die vom Mikroprozessor verarbei- 
tet werden. Die in dem wiederbeschreibbaren Speicher ab- 
gelegtcn Programme werden nur dann von dem Mikropro- 
zessor ausgefuhrt, wenn zuvor eine Prufung erfolgt ist. 

So ist beispielsweise vorgesehen, daB eine Checksum- 
menpriifung erfolgt. Vor der Ausfuhrung des Programms er- 
folgt ein Vergleich der Checksumme iiber den Speicher mit 
dem abgespeicherten Wert der Checksumme. So kann eine 
Veranderung der Daten sofort erkannt werden. Bei verander- 
ten Daten wird das Programm nicht ausgefuhrt. 

Desweiteren ist es mbglich, da6 die Befehle nur dann 
vom Mikroprozessor ausgefuhrt werden, wenn zuvor eine 
Zugriffsberechtigung durch ein PaBwort verifiziert wurde. 

Problemalisch ist es nun, wenn dem Kraftfahrzeugher- 
steller, der die Steuergerate in seine Kraftfahrzeuge einbaut, 
die Priifmethoden, insbesondere die PaBworter und die 
Checksummenbildung bekannt gcgeben werden miissen. 
Dies ist insbesondere dann der Fall, wenn der Kraftfahr- 
zeughersteller die Daten mit appliziert und in der Lage ist, 
Steuergerate zu programmieren. 

Insbesondere aus Grunden der Produkthaftung muB ge- 
wahrleistet werden, daB alle Seriensteuergerate, die in den 
Handel gelangen, nur mit einem vom Steuergeratehersteiler 
freigegebenen Datensatz betrieben werden kann. 

Aufgabe der Erfindung 

Der Erfindung liegt die Aufgabe zugrunde, bei einem Ver- 
fahren und einer Vorrichtung zum Steuern einer Brennkraft- 
maschine zu verhindern, daB ein Datensatz, der veranderte 
Daten und/oder Programme enthalt oder der nicht vom Steu- 
ergeratehersteiler freigegeben wurde auf einem Seriensteu- 
ergerai lauffahig ist. Gleichzeitig soli der Kraftfahrzeugher- 
steller die Moglichkeit haben Steuergerate zu applizieren, 
daB heiBt Datensatze in einzclnen Stcucrgcraten zu andem 
ohne daB er Kenntnis von den Priifungen hat. 

Vorteile der Erfindung 

Mit der crfindungsgemaBen Vorgehcnsweise ist es mog- 
lich, sicher zu verhindern, daB ein nicht vom Steuergerate- 
hersteiler autorisierLer Datensatz auf einem Seriensteuerge- 
rat lauffahig ist. 

Vortcilhafte und zweckmaBige Ausgcstaltungcn und Wci- 
terbildungen der Erfindung sind in den Unteranspriichen ge- 
kennzeichnet. 

Zeichnung 

Die Erfindung wird nachstehend anhand einer Zeichnung 
dargestellt. Fig. 1 zeigt ein Blockdiagramm mit den wesent- 
lichen Elementen eines Steuergerats und Fig. 2 ein FluBdia- 
gramm zur Verdeutlichung des erfindungsgemaBen Verfah- 



rens. 

Beschreibung der Ausfuhrungsbeispiele 

5 In der Fig. 1 ist ein Steuergerat 100 zur Steuerung einer 
Brennkraftmaschine und/oder eines Kraftfahrzeuges darge- 
stellt. Das Steuergerat 100 verarbeitet Signale eines ersten 
Sensors 120, eines zweiten Sensors 125 sowie weiterer nicht 
dargestellter Sensoren. Diese Daten werden von einem Mi- 

10 kroprozessor 110 verarbeitet und in Ansteuersignale fur ei- 
nen ersien S teller 130 und einen zweiten S teller 135 sowie 
weiterer nicht dargestellter Steller verarbeitet. 

Bei den Sensoren handelt. es sich vorzugsweise urn Sen- 
soren zur Erfassung von BetriebskenngroBen der Brenn- 

15 kraftmaschine und/oder des Kraftfahrzeugs. Bei den Stel- 
lern handelt es sich beispielsweise um einen Steller zur Be- 
einflussung der Leistungsabgabe der Brennkraftmaschine 
wie beispielsweise der Drossclklappc, der einzuspritzenden 
Kraftstoffmenge oder anderer GroBen. Die Anzahl der Sen- 

20 soren und der Steller ist nur beispielhaft angegeben. Es kon- 
nen auch mehr oder weniger Steller und/oder Sensoren ein- 
gesetzt werden. 

Entsprechende Steuergerate sind auch einsetzbar zur 
Steuerung eines Getriebes, eines ABS-Systems oder anderer 

25 Systeme in einem Kraftfahrzeug. 

Das Steuergerat umfaBt neben dem Mikrorechner 110 
verschiedenc Speicher 112, J14 und 116. Es handelt sich 
vorzugsweise bei dem Speicher 112 um einen nur-Lesespei- 
cher (ROM), bei dem Speicher 114 um einen wiederbe- 

30 schreibbaren Speicher (FAM) und bei dem Speicher 116 um 
einen programmierbaren Speicher (EEPROM). 

In den Speichern 112 und 114 sind Programmbcfchlc und/ 
oder Daten gespeichert, die von dem Mikroprozessor 110 
verarbeitet werden, Dabei sind je nach der Art des Speichers 

35 unterschiedliche Daten oder Programme abgelegt. 

Der nur-I.esespeichcr 112 enthalt. ein fest gespeichertcs 
Programm, welches nur durch Herstellung eines neuen 
Speicherbausteins geandert werden kann. In diesem Spei- 
cher ist in der Regel ein Minimalprogramm abgelegt, wel- 

40 ches den Mikroprozessor 110 in die Lage versetzt, Befehle 
zu verarbeiten, die in anderen Speichermedien, insbeson- 
dere dem wiederbeschreibbaren Speicher 114 gespeichert 
sind. 

Der wieder beschreibbare Speicher 114, der beispiels- 

45 wcise als EPROM oder als FLASH-EPROM ausgebildet ist, 
enthalt Programme oder Daten, die im gewissen Rahmen 
veranderbar sind. 

Im Rahmen der Applikadon werden die Daten, die im 
wiederbeschreibbaren Speicher 114 abgelegt sind, ennittelt 

50 und eingeschrieben. Die im Rahmen der Applikation ermir- 
telten Daten werden in die Seriensteuergerate insbesondere 
im AnschluB an die Ferdgung in den wiederbeschreibbaren 
Speicher 114 eingeschrieben. Dieses Einschreiben kann 
auch vom Fahrzeughers teller erfolgen. 

55 Insbesondere aus Grunden der Produkthaftung durfen in 
Seriensteuergerate nur Datensatze lauffahig sein, die vom 
Steuergeratehersteiler autorisiert sind. Dies ist einfach zu 
realisieren, wenn lediglich der Steuergeratehersteiler im 
Rahmen der Applikation Daten ermittclt und diese in den 

60 Speicher 114 einschreibt. So ist in diesem Fall vorgesehen, 
daB das Programm erst dann abgearbeitet werden kann, 
wenn wenigstens eine Prufung ergeben hat, daB ein autori- 
sierter Datensatz im Speicher abgelegt ist. 
Problematisch ist es, wenn der KraftfahrzeugherstcUcr 

65 ebenfalls im Rahmen der Applikation Daten ermittelt. 
Hierzu benoligl der Kraftfahrzeughersteller Kenntnis der 
Priifungen, wie beispielsweise die PaBworter oder des Ver- 
fahrens zur Checksummenbildung, um das Steuergerat mit 
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dem geande rten Datensatz im Rahmen der Applikation be- 
treiben zu konnen. Ohne die Kenntnis des Priifverfahrens ist 
es nicht moglich, das Steuergerat mit geanderten Daten zu 
betreibcn. 

Die Weitergabe dieser Information insbesondere der PaB- 
worter und des Verfahrens zur Checksummenbildung sind 
problematisch. Kennt der Kraftfahrzeugherstelier die Priif- 
verfahren, so kann er nicht freigegebene und autorisierte 
Datensatze abspeichern. Femer ist eine Weitergabe der Pruf- 
verfahren an Dritte nicht auszuschlieBen, wodurch es mog- 
lich wird, daB in Steuergeraten Datensatze abgespeichert 
sind. die vom Steuergeratehersteller nicht freigegeben und 
autorisiert. sind. 

Um diese Probleme zu vermeiden, wird wie folgt vorge- 
gangen. Um zu verhindern, daB ein Datensatz mit nicht frei- 
gegebenen Daten auf einem nonnalen Seriensteuergerat 
lauffahig ist, wird imprograrnrnierbaren Speicher eine Spei- 
cherzclle vcrwendet, die anzeigt, ob cs sich bei dem vorlic- 
genden Steuergerat um ein Applikauonssteuergerat oder um 
ein Seriensteuergerat handelt. 

Zeigt die Speicherzelle an, daB es sich um ein Seriensteu- 
ergerat handelt, so ist das Programm und die Daten des Spei- 
chers 114 nur dann lauffahig, wenn die ubliche Prufung, das 
heiBt die Checksummenbildung oder die PaBworteingabe 
fehlerfrei abgearbeitet wurde. 

Zeigt der Speicherinhalt an, daB es sich um ein Applikati- 
onssteuergerat handelt, so folgt diese Prufung nicht. Dies 
bedeutet, ein Applikations-Steuergerat ist auch mit einem 
veranderten Datensatz lauffahig. Zur Applikation erhalt der 
Kraftfahrzeugherstelier ein Applikations-Steuergerat. Die 
Anzahl dieser Applikations-Steucrgcratc ist begrenzt. Somit 
ist gewahrlcistet, daB in Sericnfahrzeugcn lcdiglich Serien- 
steuergerate zum Einsatz kommen, die mit freigegebenen 
und/oder autorisierten Datensatzen betrieben werden. Der 
Kraftfahrzeugherstelier benotigt keinerlei Kenntnisse der 
PaBworter oder des Verfahrens zur Checksummenbildung. 

In Fig. 2 ist das erfindungsgemaBe Verfahren anhand ei- 
nes FluBdiagrammes dargestellt. Zu Beginn der Programm- 
abarbeitung wird in einem Schritt 200 der Inhalt der Spei- 
cherzelle des programmierbaren Speichers 116 ausgelesen. 
Die sich anschlieBende Abfrage 210 uberpruft, ob der Inhalt 
dieser Speicherzelle anzeigt, daB ein Applikationssteuerge- 
rat vorliegt. Ninunt der Inhalt der Speicherzelle einen ersten 
Wert an, so wird davon ausgegangen, daB ein Applikations- 
Steuergerat vorliegt. In diesem Fall wird in Schritt 220 das 
abgespeicherte Programm und die Daten des Speichers 114 
ohne weitere Priifungen abgearbeitet. Der Fahrzeugherstel- 
ler benotigt keinerlei Kenntnisse der Priif verfahren. 

Erkennt die Abfrage 210 dagegen, daB ein zweiter Wert 
vorliegt, der anzeigt, daB ein Seriensteuergerat vorliegt, so 
folgt in Schritt 230 wenigstens eine weitere Prufung. Bei der 
weiteren Prufung wird uberpruft, ob im wiederbesclireibba- 
ren Speicher ein autorisierter Datensatz abgelegt ist. Es wird 
beispielsweise eine Checksummenbildung vorgenommen 
oder cs crfolgt eine PaBwortabfrage. Die sich anschlieBende 
Abfrage 240 uberpruft, ob bei der Prufung in Schritt 230 ein 
Fehler aufgetreten ist, beispielsweise daB die Cheeksumme 
nicht den richtigen Wert annimmt. Ist dies der Fall, so endet 
das Programm in Schritt 250. In dem Schritt 250 wird das 
Steuergerat in einen sicheren Betriebszustand gebracht. Es 
wird beispielsweise iiber den ersten Steller ein Mengensi- 
gnal ausgegeben, daB einer Einspritzmenge von 0 ent- 
spricht. Erkennt die Abfrage 240, daB kein Fehler vorliegt, 
so wird ab Schritt 260 der normalc Programmablauf abgear- 
beitet. 

Zur Erhohung der Sicherheit ist vorgesehen, daB der pro- 
grammierbare Speicher so ausgebildet ist. daB eine Ande- 
rung seines Inhaltes ohne weiteres von auBen erkennbar ist. 



Dies kann beispielsweise dadurch erzielt werden, daB ein 
EEPROM verwendet wird, der nun nach Ausbau aus dem 
Steuergerat neu programmiert werden kann. Durch geeig- 
nete MaBnahmen wie einer Versiegclung und/oder fest. ein- 
5 geloteter Bauteile kann ein solcher Ausbau des Speichers 
116 sofort erkannt werden. 

Patentanspriiche 

1. Verfahren zum Steuern einer Brennkraftmaschine, 
mit wenigstens einem Mikroprozessor, wenigstens ei- 
nem programmierbaren Speicher und einem wiederbe- 
schreibbaren Speicher, wobci in dem wiederbeschreib- 
baren Speicher Programme und/oder Daten abgelegt 
sind, die von dem Mikroprozessor verarbeitet werden, 
wobei die Programme erst nach einer Prufung abgear- 
beitet werden, dadurch gekennzeichnet, daB der In- 
halt wenigstens einer Speicherzelle des programmier- 
baren Speichers uberpruft wird, wobei anschlieBend 
das Programm ohne weitere Prufung abgearbeitet wird, 
wenn Inhalt der Speicherzelle des programmierbaren 
Speichers einen ersten Wert annimmt und daB andern- 
falls wenigstens eine weitere Prufung durchgefuhrt 
wird. 

2. Verfahren nach Anspruch 1, dadurch gekennzeich- 
net, daB das Steuergerat in einen sicheren Betriebszu- 
stand gebracht wird, wenn bei der weiteren Prufung ein 
Fehler auftritt. 

3. Verfahren nach Anspruch 1 oder 2, dadurch gekenn- 
zeichnet, daB bei der weiteren Prufung uberpruft wird, 
ob im wiedcrbeschreibbaren Speicher ein autorisierter 
Datensatz abgelegt ist. 

4. Vorrichtung zum Steuern einer Brennkraftma- 
schine, mit wenigstens einem Mikroprozessor, wenig- 
stens einem programmierbaren Speicher und einem 
wiedcrbeschreibbaren Speicher, wobei in dem wiedcr- 
beschreibbaren Speicher Programme und/oder Daten 
abgelegt sind, die von dem Mikroprozessor verarbeitet 
werden, wobei die Programme erst nach einer Prufung 
abgearbeitet werden, dadurch gekennzeichnet, daB 
Mittel vorgesehen sind, die den Inhalt wenigstens einer 
Speicherzelle des programmierbaren Speichers uber- 
priifen, die das Programm ohne weitere Prufung abar- 
beiten, wenn Inhalt der Speicherzelle des program- 
mierbaren Speichers einen ersten Wert annimmt, und 
andernfalls weitere Prufung durchfuhren. 

5. Verfahren nach Anspruch 3, dadurch gekennzeich- 
net, daB der progranunierbare Speicher so ausgebildet 
ist, daB eine Anderung seines Inhalts unmittelbar er- 
kennbar ist. 

6. Vorrichtung nach einem der vorherigen Anspriiche, 
dadurch gekennzeichnet, daB der programmierbare 
Speicher als EEPROM ausgebildet ist. 
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